Claude Managed Agents 推出自托管沙箱与 MCP 隧道：分层执行架构对运营团队意味着什么

企业级 AI 落地最核心的约束往往不是模型质量，而是数据驻留。当 AI agent 需要读取内部文件、调用私有 API 或对敏感代码库执行操作时，安全团队会提出一个简单问题：执行到底发生在哪里？

Anthropic 在 5 月 19 日的 Code with Claude London 活动上给出了答案，重新划定了 Claude Managed Agents 的边界。自托管沙箱（self-hosted sandboxes）将工具执行环境移至客户自有基础设施；MCP 隧道（MCP tunnels）让 agent 可以访问私有网络中的 MCP server，而无需将其暴露在公网。两者共同定义了 Anthropic 所说的分层（split-plane）架构：编排层保留在 Anthropic 基础设施上，工具执行层运行在客户指定的位置。

具体变化

自托管沙箱（公开 beta） 允许企业将自有计算环境指定为 Claude Managed Agents 的工具执行目标。文件、代码库和软件包不离开客户网络，现有安全管控——网络策略、审计日志、EDR 工具——默认生效，因为执行落在他们已有治理能力的基础设施内。

不希望自行运维计算资源的团队，也可以选用已与该 API 集成的托管沙箱提供商：Cloudflare Workers Sandbox、Daytona、Modal 和 Vercel Sandbox。这些提供商在 Anthropic 编排层与沙箱执行环境之间充当受信中间层。

MCP 隧道（研究预览，需申请访问权限） 解决了私有网络连通性问题。客户网络中运行一个轻量级 gateway 进程，通过单条端对端加密的出站连接与 Anthropic 的 Managed Agent 平台通信。无需修改防火墙入站规则、无需公网端点、无需 VPN 重配置。agent 就能调用企业防火墙内的 MCP server——数据库、工单系统、内部 API——这些服务无需对公网可达。

对 AI 工程团队的影响

传统 agentic pipeline 存在一个依赖问题：如果编排引擎需要调用内部工具，要么内部工具必须暴露在公网，要么需要自建定制桥接层。两种方案在运营上都不够简洁。

这次发布将这一权衡分解为两个可以独立决策的问题：

1. Agent 循环在哪里运行？ 答案：仍在 Anthropic。上下文管理、错误恢复与推理步骤继续托管，意味着你会自动获得模型和编排层的更新。

2. 工具执行在哪里运行？ 答案：你的安全边界内，或你信任的托管提供商。这正是合规团队一直要求的——代码执行不离开他们审计的边界。

对于在企业环境中使用 Claude Code 的团队，自托管沙箱可以让编码 agent 沿用本地熟悉的工作流，同时执行环境保留在企业防火墙后面。对于构建内部自动化的团队——读取私有数据库、写入内部工单系统——MCP 隧道消除了将内部服务暴露给托管 agent 才能访问的需求。

Router/Operator 视角

分层架构为 gateway operator 提供了一个有用的思维模型：agent 活动并非都具有同等敏感性。推理与编排层（使用哪个模型、维护什么上下文、下一步调用哪个工具）可以云托管；执行层（文件 I/O、API 调用、代码运行）才是数据驻留要求所在。

通过 TheRouter 等 gateway 进行路由时，这创造了清晰的关注点分离：

• 模型路由与 fallback 在编排层运行——选择哪个 provider、哪个模型层级、延迟与成本的权衡——不受工具执行位置影响。
• 请求日志与可观测性必须考虑到分层设计。来自 Anthropic 编排层到你的沙箱的请求出现在你的网络上；agent 推理步骤出现在 Anthropic 的 API 日志中。完整的审计追踪需要将两者关联。
• 合规认证变得更容易：你可以将审计人员指向沙箱环境的审计日志、现有 EDR 工具和网络策略，而无需争论 Anthropic 的托管环境是否满足你的管控要求。

对于选择沙箱提供商的团队，gateway 影响同样需要考虑：Cloudflare 集成意味着执行在 Cloudflare Workers 内运行，附带 Cloudflare 的可观测性；Modal 集成在 Modal 的 serverless 基础设施上运行。执行提供商的选择是一个独立于模型选择的路由决策。

MCP 隧道目前是需要申请访问权限的研究预览。如果你正在针对私有数据构建内部工具，现在评估这一方案是值得的——隧道模式避免了最常见的变通做法：给 AI 平台开放对内部服务的网络访问，而这种做法往往无法通过安全审查。

TheRouter 用户应关注的事项

Managed Agents 沙箱和隧道功能在 Claude 平台层运行，而非 OpenAI 兼容 API 层。通过 TheRouter 路由到 Claude API endpoint 的团队使用的是底层模型 API，并不在使用 Managed Agents——分层执行模型是 Anthropic 第一方 agent 平台专属的特性。

这次发布对路由 operator 的信号意义：

• MCP 作为连通模式正在成熟。 Anthropic 现在官方支持私有网络访问的 MCP 隧道。如果你在构建 MCP 工具链，隧道模式值得纳入设计。
• 混合 agent 部署中存在可观测性缺口。 混合使用托管编排与自运行工具执行的团队，应规划好可观测性方案，以关联来自两个平面的日志。
• 合规要求是路由信号。 如果某些请求涉及敏感内部数据，路由到支持自托管执行的 provider 可能成为未来的选择标准，与你已经路由的延迟和成本信号并列。

通过 Claude Managed Agents 表单 申请 MCP 隧道访问权限。自托管沙箱文档见 platform.claude.com/docs/en/managed-agents/self-hosted-sandboxes。